WordPress 7.1.4 chiude una falla che si apre durante gli aggiornamenti

Anche un aggiornamento può aprire una finestra d’attacco. WordPress 7.1.4, uscito il 28 ottobre, corregge fra le altre cose una falla nel processo che estrae i file del core: per pochi secondi, una copia di WordPress poteva trovarsi in una cartella prevedibile dentro wp-content/upgrade/, se accessibile dal web.

Se un aggressore arrivava al percorso giusto in quel momento, poteva avviarne l’installazione con un database sotto il proprio controllo e arrivare a eseguire codice sul server. Non serviva un account, ma occorrevano sia la finestra temporale sia l’accessibilità della cartella. Patchstack considera difficile lo sfruttamento. La correzione rende casuale il nome della directory e ne rafforza le protezioni.

Il rilascio risolve 22 vulnerabilità in 17 avvisi di sicurezza, secondo l’analisi di Patchstack. Molte altre riguardano contenuti preparati da utenti autenticati, anche con ruolo Collaboratore, che potevano far eseguire script nel browser di chi li apriva. Le patch vengono portate anche sui rami precedenti fino al 4.7; solo la versione più recente resta attivamente supportata.

WordPress raccomanda di aggiornare subito. I siti con aggiornamenti automatici in background possono ricevere la correzione da soli; dalla bacheca la si trova nella sezione Aggiornamenti.